молниеносная сеть, идентификационный канал
Я хочу сделать сервис, который позволяет привязывать частные каналы пользователя к учетной записи пользователя.
Пользователь открывает приватный канал с моим узлом. Но я не знаю, какой именно пользователь.
Для идентификации канала я планирую запросить запрос BOLT11 у пользователя, с уникальным идентификатором в описании, например кодом СМС.BOLT11 указывает целевой адрес платежа. Я найду маршрут для этого запроса и таким образом определю канал пользователя.
Безопасна ли такая схема? Может ли мошенник создать запрос BOLT11 на не принадлежащий ему канал? Можете ли вы предложить лучшую схему идентификации?
2 ответа
Может ли мошенник создать запрос BOLT11 на не принадлежащий ему канал?
Болт 11 гласит:
Идентификатор восстановления позволяет восстановить открытый ключ, поэтому может подразумеваться личность узла получателя.
Я не уверен, как каждая реализация соответствует спецификации здесь. Я бы предположил, что все они выполняют проверку подписи, но они могут не предоставлять функции восстановления открытого ключа. Ваша идея найти путь без фактической оплаты счета может сработать.
Однако кажется, что вам нужно на самом деле идентифицировать существующий частный канал между вашим узлом и пользователем. Частные каналы должны быть включены в счет-фактуру в качестве подсказок маршрутизации, поэтому может быть даже проще получить их оттуда, просто расшифровав счет-фактуру.
Альтернативным вариантом было бы попросить пользователя оплатить счет, сгенерированный вашим узлом, msat будет достаточно. Наверняка она не сможет создать платеж с узлом, который она не контролирует.
Самым безопасным способом будет, если пользователь подпишет сообщение одним из ключей, которые он использует для подписи коммит-транзакций. Это, безусловно, свяжет его личность с каналом. Однако текущие реализации не предлагают этот API. Но это не значит, что это было бы невозможно